Laravel Türkiye Discord Kanalı Forumda kod paylaşılırken dikkat edilmesi gerekenler!Birlikte proje geliştirmek ister misiniz?

Sanctum Token Guvenligi

AydinVivik

Herkese merhaba. @mgsmus un tavsiyesi ile Laravel Sanctum ile sadece dijital urunlerin satilacagi ufak bir e-ticaret( illustrator cizimler satilacak ) uzerinde calisiyorum, yalniz guvenlik konusunda aklima takilan bazi sorular var. Daha once https://laravel.gen.tr/d/4475-laravel-projelerinde-guvenlik-to-do-list linkteki guvenlik durumlarini okudum.

1- Api token uzerinden gittigim icin bildigim kadariyla csrf kullanilmiyor. Api ile birlikte csrf kullanabilir miyim ?

2- Kullanici login olurken alinan Bearer tokeni front-end(Vue) cookie de tutuyorum. Cookie nin kullanim suresini 1 gun belirleyip kullanici remember me secerse 15 gun olarak belirliyorum. Bunu front-end ten mi yapmak daha mantikli yoksa back-end ten tokene sure verip ona gore mi yapmam daha dogru olur ?

3- Asil kafama takilan soru ise alinan bu Bearer tokenin client tarafinda guvenligini nasil saglayabilirim ? Cookie de tutman yeterli olur mu ?

Bunlarin disinda tavsiye edebileceginiz guvenlik onlemleri olarak ne yapabilirim.

Simdiden tesekkurler.

mgsmus

AydinVivik Eğer frontend first-party ise, yani backend ile frontend aynı domain altında çalışıyorsa token auth kullanmayacaksınız. Sanctum zaten session (cookie) kullanarak bunu kendisi hallediyor. Sanctum tavsiye etmemin sebebi bu. 3. parti erişim için token kullanırsınız, örneğin mobil uygulama ya da size bağlanan başka uygulamalar için.

AydinVivik

mgsmus Yani once sanctum/csrf-cookie uzerinden session olusturduktan sonra api route larini kullanabilirmiyim ? Sormamda ki amac su; Kullanici login olurken olusturulan accessToken e, Token Abilities ile kullanicilara bazi kisitlamalar getirdim.

Yani sonuc olarak su sekilde oluyor;

1- axios.get('mydomain.com/sanctum/csrf-cookie')
2- axios.post('mydomain.com/api/login')

-- axios.get('mydomain.com/api/products')

gibi, bu sekilde kullanim dogru mu ? Ayrica oturumda session u baz alacaksak oturum suresini nasil ayarlayabilirim. .env dosyasinda SESSION_LIFETIME=120 (config/session.php dosyasinda browser kapandiktan sonraki dakika diyor.) kullanici remember me yi sectikten sonra bu sureyi login sirasinda nasil ayarlayabilirim ? ornegin browser kapansa da session 15 gun gecerli olmasi gibi ?

mgsmus

AydinVivik Login ile dediğiniz kısım doğru. /sanctum/csrf-cookie adresine bir kere istek atınca csrf cookie oluşuyor, axios onu XSRF-TOKEN isminden tespit edip otomatik kullanıyor, isteklere iliştiriyor. Bu sadece login sırasında bir kere yapacağınız bir işlem.

Remember me özelliğini kullandığınızda ayrı bir cookie oluşur, session ölse bile ayrı cookieden dolayı kullanıcı otomatik giriş yapar. O cookie'nin ömrü de 5 yıl olarak içeride belirlenmiş, yani sınırsız gibi düşünebilirsiniz. Ömrünü değiştirmek için SessionGuard'ı genişletip createRecaller yöntemini değiştirmeniz gerekiyor ki bu gayet gereksiz bir ağırlık. Şöyle bir şey yapılabilir, login yöntemi sırasında kullanıcının login olduğu tarihi de users tablosunda tutun, bir tane task yazın, bu task günde 1 kere users tablosunu tarasın ve son girişi tarihi 15 günü geçen kullanıcıların remember_token alanını null yapsın. Bu işinizi görür ama ben böyle bir şey yapmazdım, kullanıcı kendisi hatırlanmayı seçiyor, unutulmak istiyorsa logout yapması lazım ya da çerezleri temizlemeli.

AydinVivik

mgsmus Anladim cok tesekkur ederim, soyledikleriniz mantikli evet ama normal kullanicilar siteyi hergun ziyaret etmeyecegi icin sureyi kisaltmak daha makul gelmisti bana. Taski yazmaya karar verirsem bu sekilde yazilisi dogru mu acaba ?

protected function schedule(Schedule $schedule) { $schedule->call(function () { DB::table('remember_token')->nullable(); $last_login = DB::table('user_last_login'); })->daily()->days([$last_login, 15]); }

Bir de kullanici logout olmadan browseri kapatirsa 2 saat sonra session suresi doluyor, dolayisiyla kullanici tekrar login olmasi gerekiyor fakat personal_access_tokens tablosuna baktigimda ayni kullanicinin 5-6 tane tokeni gorunuyor (postman ile denemeler de yaptigim icin). Login sirasinda kullanicinin tokeni varsa gecerli tokeni mi kullandirmam daha mantikli olur yoksa eski tokeni silip yeni token mi olusturayim ? Ya da onu da mi task ile yapayim, ornegin kullanicinin 1 den fazla tokeni varsa eskilerini sil gibi ?

Tekrar tesekkurler bu arada.

mgsmus

AydinVivik Task için yazdığınız kodu örnek olsun diye salladınız sanırım ama keşke geçerli bir şey sallasaydınız 🙂

$schedule->call(function () {
    DB::table('users')
        ->where('last_login_at', '<=', Date::now()->subDays(15))
        ->update([
            'remember_token' => null
        ]);
    })->daily();

Token'ları da bir task ile temizleyin, varsa sil eskisini kullan vs uğraşmayın.

AydinVivik

mgsmus tesekkur ederim, aslinda documentation dan aldim tam fikir yurutemedim 🙂

AydinVivik

mgsmus personal_access_tokens tablosundaki ayni tokenable_id ye ait 1 den fazla token varsa sonuncudan oncekileri silme islemini tam nasil yapabilirim kurgulayamadim

BoraN7

mgsmus >= yazdığınız yer <= olması gerekmiyor mu? 15 gün ve daha eskileri silmek için?

mgsmus

AydinVivik

DB::table('personal_access_tokens')
    ->whereNotIn('id', function ($query) {
        $query
            ->select('latest_id')
            ->fromSub(function ($query) {
                $query
                    ->selectRaw('max(id) as latest_id')
                    ->from('personal_access_tokens')
                    ->groupBy('tokenable_id');
            }, 'sub');
    })
    ->delete();

mgsmus

BoraN7 Evet yanlış yazmışım, düzelttim.

AydinVivik

tesekkur ederim tekrar.

AydinVivik

mgsmus kullanici login olurken olusturulan session ile xsrf cookie yi browser dev tools ta manuel sildikten sonra yapilan requestlerde (mesela users tablosu icin request yapiyorum) 401 hatasi vermesi gerekmiyor mu ? Cookileri silmeme ragmen request (headers ta cookie ler gorunmuyor silince) istekleri hep response donuyor sebebi nedir ? Eger cookie ler olmadan hata dondurmeyecekse login sirasinda neden olusturuyoruz tam anlayamadim.

mgsmus

AydinVivik csrf token post, put, patch, delete işlemlerinde kullanılır, sorun olduğunda 419 hatası verir. 401 hatası alabilmeniz içinde auth ile korunan bir rotaya istek atmanız lazım.

AydinVivik

mgsmus anladim tesekkur ederim evet ben get isleminde denemistim post ta hata verdi. Fakat auth:sanctum ile korunan bir rotaya istek attigim zaman xsrf ve normal session olmasa da yanit veriyor hata vermiyor.

mgsmus

AydinVivik remember me çerezini de silmeniz lazım.

AydinVivik

mgsmus remember me cerezi yok tum cerezleri siliyorum. Aslinda belki de problem yoktur sadece mantigini anlamaya calisiyorum.

Route::middleware('auth:sanctum')->group(function () {

    Route::get('/me', [ProfileController::class, 'me']);

});

api ve web te ayni rotayi olusturdum. giris yaptiktan sonra cookie leri olusturuyor.

https://imgur.com/9g0bxKL

ben browser dan bu cookie leri sildigim zaman;

api/route a istek atarsam get disindakilerde sizin dediginiz gibi hata veriyor buyuk ihtimal csrf olmadigi icin. Tamam o kismi anladim. Fakat session olmadigi icin neden hata vermiyor onu anlayamadim.

web/route a istek atarsam sildigim cookie ler tekrar geliyor.

Session expire suresini dusurup denedim browseri kapatip sure dolunca acmaya calisirsam hata verdigi icin logine atiyorum o sekilde calisiyor sorun yok.

mgsmus

AydinVivik Nasıl istek atıyorsunuz? Ben cookie'leri sildiğim zaman direkt login sayfasına atıyor. Ya silmediğiniz bir şey var ya da istek atarken kullanıcın tekrar login olmasına sebep olan bir şeyler yapıyorsunuz.

AydinVivik

mgsmus vue tarafinda axios ile su sekilde;

getUser( vuexContext, payload ) {
  return api.get( 'api/me' ).then( ( response ) => {
    console.log( response );

    return response;
  }).catch( ( error ) => {
    return Promise.reject( error.response );
  });
}

( api ) kismi axios ayarlarindan geliyor. axios ayarlarim ise;

const instance = axios.create({
    timeout: false,
    withCredentials: true,
});

instance.interceptors.request.use( ( config ) => {
    const token = Cookies.get('access_token') || null;

    if ( token ) {
        config.headers.common['Authorization'] = `Bearer ${token}`;
        config.headers.common['Access-Control-Allow-Origin'] = '*';
        config.headers.common['Content-Type'] = 'application/json';
    } else {
        config.headers.common['Accept'] = 'application/json';
    }

    return config;
}, ( error ) => {
    return Promise.reject( error );
});

ayrica 401 ve 419 hatalari alirsa otomatik logout olsun diye de sunu ekledim

instance.interceptors.response.use( ( response ) => {
  return response;
}, ( error ) => {
  if ( error.response && [401, 419].includes( error.response.status ) ) {
    store.dispatch( 'auth/userLogout' );

    return Promise.reject( error );
  }

  console.log( error );

  return Promise.reject( error );
});

export default {
  get( route, queryParameters = null ) {
    return this.sendRequest( instance.get( route, { params: queryParameters }) );
  },
  post( route, parameters = null, queryParameters = null ) {
    return this.sendRequest( instance.post( route, parameters, { params: queryParameters }) );
  },
  put( route, parameters = null, queryParameters = null ) {
    return this.sendRequest( instance.put( route, parameters, { params: queryParameters }) );
  },
  delete( route, parameters = null, queryParameters = null ) {
    return this.sendRequest( instance.delete( route, parameters, { params: queryParameters }) );
  },
  sendRequest( request ) {
    return new Promise( ( resolve, reject ) => {
      request.then( ( response ) => {
        resolve( response );
      }).catch( ( error ) => {
        this.errorResponse( error, reject );
      });
    });
  },
  errorResponse( error, reject ) {
    reject( error );
  }
};

laravel de istek attigim me ise;

return $request->user();

.env ayarlarim

SESSION_DRIVER=file
SESSION_LIFETIME=120
SESSION_DOMAIN=.growork.test
SANCTUM_STATEFUL_DOMAINS=growork.test

mgsmus

AydinVivik access_token çerezi nedir? Onu da siliyor musunuz?

AydinVivik

mgsmus api istekleri icin login sirasinda aldigim Bearer token. onu sildigim zaten api ye istek attigimda token hatasi veriyor. web rotasina istek attigimda zaten o olmasa da sorun yok ama sildigim session cookie tekrar geliyor. Benim anlamadigim yukaridaki resimde size gosterdigim growork_session cookie silindigi zaman Bearer token de ki gibi hata vermesi gerekmiyor mu ?

Sonraki Sayfa »